Apparaten van Barracuda Networks, die in veel zakelijke omgevingen worden gebruikt, bevatten backdoors die bedoeld waren voor de fabrikant. Ze waren echter ook eenvoudig te misbruiken door anderen. Een patch lost het probleem gedeeltelijk op.
Het probleem zat in meerdere apparaten van Barracuda Networks, waaronder servers waarop webfilters, firewalls en vpn's draaien. Dat schrijft beveiligingsjournalist Brian Krebs. De apparaten bevatten een backdoor-ssh-account waardoor Barracuda Networks op afstand op het apparaat kon inloggen. Op een van de 'backdoor-accounts' hoefde geen wachtwoord te worden ingevuld, enkel de gebruikersnaam 'product'. Het ging om een ongedocumenteerd account; wie een Barracuda-systeem kocht, werd niet verteld dat deze een dergelijk ssh-account bevatte.
Inloggen op het account kon enkel vanuit een bepaalde ip-range, waarvan ip-adressen van Barracuda Networks deel uitmaakten. Oostenrijkse onderzoekers ontdekten echter dat Barracuda Networks niet het enige bedrijf was dat gebruikmaakte ip-adressen in deze range: honderden andere bedrijven bezetten eveneens ip-adressen in die range. Die konden dus zonder veel moeite op afstand inloggen op Barracuda-systemen. Dat account maakte het onder meer mogelijk om als root in te loggen op MySQL.
Het probleem is inmiddels opgelost: op het ssh-account 'product' kan niet meer worden ingelogd. De onderzoekers tekenen echter aan dat er nog een voorgeconfigureerde ssh-account is, waarop Barracuda kan inloggen. Dat account kan niet worden verwijderd; volgens Barracuda is het nodig voor 'klantenservice'. Een onderzoeker zet daar kanttekeningen bij: "In beveiligde omgevingen is het zeer ongewenst als servers backdoors bevatten", schrijft hij, "zelfs als deze enkel voor de fabrikant toegankelijk zijn."